FBI Phishing Alert auf Verschlüsselung Messaging der russischen Intelligenz zugeschrieben, die Konten durch verlinkte Geräte schlägt

Die vergangene FBI-öffentliche Mitteilung setzt in großen Briefen etwas viele Experten waren verdächtig von: es gibt Phishing-Kampagnen, die unter Berücksichtigung von verschlüsselten Messaging-Anwendungen und, nach der Agentur, Diese Operationen sind direkt mit russischen Geheimdiensten verbunden. Die FBI-Erklärung - die erste, die diese Kampagnen ausdrücklich auf russische Intelligenz zurückzuführen - beschreibt ein störendes Muster: Es geht nicht darum, die Verschlüsselungsprotokolle von Ende zu Ende zu brechen, sondern den Schutz zu überspringen, indem man das Vertrauen und die Verifikationsmechanik der Anwendungen selbst nutzt.

Die beobachteten Taktiken sind einfach in ihrer Technik und effektiv in ihrer Ausführung. Die Angreifer senden Nachrichten, die als Support-Konten oder Trust-Kontakte posieren, und bitten den Empfänger, eine anscheinend inokulierte Aktion durchzuführen, wie z.B. einen Verifikationscode zu teilen oder einen QR-Code zu scannen. Diese gleichen Aktionen sind diejenigen, die es Signal und WhatsApp ermöglichen, ein neues Gerät an ein bestehendes Konto zu verlinken; bösartig ausgenutzt, erlauben dem Eindringling, ein Gerät unter seiner Kontrolle und Zugriff auf die Nachrichten und Kontaktliste hinzuzufügen. Signal erklärt, wie Verschlüsselte Geräte und was Prüfmechanismus in seinem Beihilfeabschnitt auf Codes.

Das FBI betont, dass das Ziel dieser Angriffe darin besteht, die Verschlüsselung nicht zu "brechen"; die Verschlüsselung funktioniert weiterhin für legitime Geräte. Das Problem passiert, wenn der Angreifer bekommt sein eigenes Gerät von der Plattform behandelt als ein weiterer Benutzer, in der Lage, Nachrichten zu lesen, Gruppen einzugeben, als Opfer posieren und neue Wellen des Phishing von einem bereits engagierten Konto starten. Laut der FBI-Note haben diese Operationen bereits "tausende" von Konten auf der ganzen Welt erreicht und gezielte Menschen mit Zugang zu sensiblen Informationen: aktuelle und frühere Beamte, militärische, politische Positionen und Journalisten. Sie können die komplette FBI-Anzeige auf Ihrem PSA lesen hier verfügbar.

Die US-Benachrichtigung kommt nach ähnlichen Warnungen in Europa; zum Beispiel veröffentlichte die französische Cyberkrisis-Koordinationsbehörde einen Bericht mit den gleichen Mustern und Beispielen von Phishing-Nachrichten, die gegen Instant Messaging-Nutzer verwendet werden. Das C4-Dokument (Centre de réponse aux Zwischenfälle) enthält Proben und Taktiken in einem öffentlichen PDF, das hilft zu sehen, wie der Haken im realen Gespräch präsentiert wird: C4 Alarm.

Warum sind diese Kampagnen so gefährlich? Weil sie die Art der Bedrohung ändern: Verschlüsselung bietet weiterhin Vertraulichkeit zwischen legitimen Geräten, aber wenn der Gegner bekommt sein Gerät zu einem Teil der Geräte des Benutzers zu sein, dann kann er Nachrichten lesen und senden, ohne dass kryptographische Protokolle verletzt werden müssen. Das macht Kontakte und Gespräche zu einem Vermehrungsvektor: Eine Nachricht aus einem Kompromißkonto scheint legitim und ist viel effektiver bei der Betrügung neuer Opfer.

In der Praxis fragen betrügerische Nachrichten oft nach konkreten Aktionen: Geben oder senden Sie Verifikationscodes, scannen Sie einen QR, um den Dienst "zu verbinden" oder folgen Sie Links, die zu Seiten führen, die die App-Schnittstelle reemulieren. Im Falle einer solchen Anfrage wird empfohlen, standardmäßig zu misstrauen. Es ist nie erforderlich, Verifikationscodes bereitzustellen oder QR-Codes zu scannen, die vom eigenen Gerät des Benutzers nicht angefordert wurden. Es ist auch eine gute Idee, regelmäßig die Liste der Geräte, die mit Ihrer Anwendung verknüpft sind, zu überprüfen und Sitzungen zu schließen, die Sie nicht erkennen; Signal und WhatsApp eigene Hilfeseiten lehren, wie Sie diese Links verwalten und Remote-Geräte schließen.

Für diejenigen, die mit sensiblen Informationen zusammenarbeiten - Journalisten mit Quellen, Beamten, NRO-Mitgliedern oder einer Person mit hohem Risiko - müssen die Maßnahmen strenger sein: Verwenden Sie die Registrierungssperrfunktion von Signal (die eine PIN zur Vermeidung von Wiederaufzeichnungen auferlegt) oder aktivieren Sie die Überprüfung in zwei Schritten von WhatsApp, um eine zusätzliche Verteidigungsebene hinzuzufügen, halten kritische Kommunikationskanäle getrennt und, wenn möglich, verwenden Sie dedizierte Geräte und Konten für sensible Kommunikation. Diese Praktiken verringern die Wahrscheinlichkeit, dass eine E-Mail oder eine geniale Nachricht zu einem Konto Entführung führen wird.

Technisch können Plattformen auch die Erkennung und Präsentation dieser Wahnvorstellungen verbessern, und einige haben bereits daran gearbeitet; die effektivste Verteidigung bleibt jedoch das Bewusstsein des Benutzers. Ein unerwarteter Impuls, ein Sicherheitsproblem zu lösen, ist im Gespräch nicht harmlos: Stoppen, überprüfen Sie einen anderen Kanal und teilen Sie keine Codes oder Anmeldeinformationen.

Wenn Sie glauben, dass Ihr Konto beeinträchtigt wurde, trennen Sie die verlinkten Geräte, ändern Sie die Sicherheitseinstellungen und alarmieren Sie Ihre Kontakte zu atypischen Nachrichten, die von Ihrer Identität kommen können. Organisationen sollten auch spezifische Reaktions- und Meldeverfahren für Mitarbeiter mit Zugang zu sensiblen Informationen berücksichtigen, da die Lieferkette schnell skaliert werden kann, wenn das Ausgleichskonto zu einer Person mit vielen einflussreichen Kontakten gehört.

Schließlich sei daran erinnert, dass die Anschläge der Nation dem Problem eine politische und operative Ebene hinzufügen: Wenn eine Intelligenz hinter diesen Kampagnen steckt, ist das Ziel nicht nur zeitnaher Zugang, sondern die verlängerte und selektive Nutzung von Informationen. Aus diesem Grund ist die Warnung des FBI nicht nur eine weitere Nachricht über Cybersicherheit; es ist ein Aufruf, Gewohnheiten und Kontrollen neu zu organisieren, um zu schützen, welche Verschlüsselungsprotokolle nicht allein verteidigen können: die Integrität von Geräten und menschliche Vorsicht. Wir können die Empfehlungen der Anträge selbst und der Behörden auf dem Laufenden halten. Für weitere technische Details und Beispiele, überprüfen Sie die FBI PSA Hier. und der praktische Leitfaden für Französisch C4 Hier. und die offiziellen Beihilfeseiten der Signal und WassApp.